Подключение Microsoft Sentinel к Amazon Web Services для приема данных журнала службы AWS

Вкладка разъёма S3 объясняет, как настроить разъём AWS S3 одним из двух способов:

• Автоматическая настройка (рекомендуется)
• Настройка вручную

Предварительные условия

• Необходимо иметь разрешение на запись в рабочей области Microsoft Sentinel.

• Установите решение Amazon Web Services из Центра содержимого в Microsoft Sentinel. Дополнительные сведения см. в статье Поиск и управление готовым содержимым Microsoft Sentinel.

• Установите PowerShell и интерфейс командной строки AWS (AWS CLI) на вашем компьютере (только для автоматической настройки):

  • Инструкции по установке PowerShell
  • Инструкции по установке интерфейса командной строки AWS (из документации AWS)

• Убедитесь, что журналы из выбранной службы AWS используют формат, принятый Microsoft Sentinel:

  • Amazon VPC: .csv файл в формате GZIP с заголовками; разделитель: пробел.
  • Amazon GuardDuty: форматы json-line и GZIP.
  • AWS CloudTrail: .json файл в формате GZIP.
  • CloudWatch: .csv файл в формате GZIP без заголовка. Если необходимо преобразовать журналы в этот формат, можно использовать эту лямбда-функцию CloudWatch.

Автоматическая настройка

Для упрощения процесса адаптации Microsoft Sentinel предоставила скрипт PowerShell для автоматизации настройки AWS-стороны коннектора; необходимые ресурсы, учетные данные и разрешения AWS.

Скрипт:

• Создает поставщика веб-идентификации OIDC для аутентификации пользователей Microsoft Entra ID в AWS. Если поставщик веб-удостоверений уже существует, скрипт добавляет Microsoft Sentinel в аудиторию существующего поставщика.

• Создает предполагаемую роль IAM с минимально необходимыми разрешениями для предоставления пользователям, прошедшим проверку подлинности OIDC, доступа к вашим журналам в заданном бакете S3 и очереди SQS.

• Позволяет указанным службам AWS отправлять журналы в этот контейнер S3, а уведомления — в очередь SQS.

• При необходимости создаёт корзину S3 для хранения журналов и очередь SQS для уведомлений.

• Настраивает все необходимые политики разрешений IAM и применяет их к созданной выше роли IAM.

Для облаков Azure для государственных организаций специализированный скрипт создаёт другого провайдера веб-идентичности OIDC и назначает этому провайдеру роль IAM.

Инструкции

Чтобы запустить скрипт для настройки соединителя, выполните следующие действия.

1. В меню навигации Microsoft Sentinel выберите Соединители данных.

2. Выберите Amazon Web Services S3 из коллекции соединителей данных.

   Если соединитель не отображается, установите решение Amazon Web Services из Центра содержимого в Microsoft Sentinel.

3. В области сведений для соединителя выберите Открыть страницу соединителя.

4. В разделе Конфигурация под 1. Настройте среду AWS, разверните раздел Настройка с помощью скрипта PowerShell (рекомендуется).

5. Следуйте инструкциям на экране, чтобы скачать и извлечь сценарий установки AWS S3 (по ссылке скачивает ZIP-файл, содержащий основной скрипт установки и вспомогательные скрипты) со страницы соединителя.

   Примечание.

   Для загрузки журналов AWS в облако Azure для государственных организаций вместо этого скачайте и распакуйте этот специализированный скрипт настройки AWS S3 Gov.

6. Перед выполнением скрипта выполните команду из командной aws configure строки PowerShell и введите соответствующие сведения в соответствии с запросом. См . интерфейс командной строки AWS | Сведения об основах конфигурации (из документации AWS).

7. Теперь запустите скрипт. Скопируйте команду со страницы соединителя (в разделе "Запуск скрипта для настройки среды") и вставьте ее в командную строку.

8. Сценарий предложит ввести идентификатор рабочей области. Этот идентификатор отображается на странице соединителя. Скопируйте его и вставьте в командной строке скрипта.

   

9. Когда скрипт завершит запуск, скопируйте Role ARN и URL SQS из выхода скрипта и вставьте их в соответствующие поля на странице коннектора в разделе 2. Добавьте связь.

   

   

10. Выберите тип данных в раскрывающемся списке Целевая таблица . Это указывает соединителю, журналы какой службы AWS собирает данное подключение и в какую таблицу Log Analytics сохраняются полученные данные. Затем выберите Добавить подключение.

Настройка вручную

Для развертывания этого соединителя рекомендуется использовать скрипт автоматической настройки. Если по какой-либо причине вы не хотите воспользоваться этим удобством, выполните приведенные ниже действия, чтобы настроить соединитель вручную.

1. Настройте среду AWS, как описано в статье Настройка среды Amazon Web Services для сбора журналов AWS для Microsoft Sentinel.

2. В консоли AWS:

   1. Введите службу Управления удостоверениями и доступом (IAM) и перейдите к списку Ролей. Выберите созданную ранее роль.

   2. Скопируйте ARN в буфер обмена.

   3. Введите службу простых очередей, выберите созданную очередь SQS и скопируйте URL-адрес очереди в буфер обмена.

3. В Microsoft Sentinel выберите Соединители данных в меню навигации.

4. Выберите Amazon Web Services S3 из коллекции соединителей данных.

   Если соединитель не отображается, установите решение Amazon Web Services из Центра содержимого в Microsoft Sentinel. Дополнительные сведения см. в статье Поиск и управление готовым содержимым Microsoft Sentinel.

5. В области сведений для соединителя выберите Открыть страницу соединителя.

6. В разделе 2. Добавить подключение:

   1. Вставьте IAM роль ARN, которую вы скопировали с консоли AWS IAM, в поле роли для добавления .
   2. Вставьте URL очереди SQS, скопированный из консоли AWS Simple Queue Service, в поле SQS URL .
   3. Выберите тип данных в раскрывающемся списке Целевая таблица . Это указывает соединителю, журналы какой службы AWS собирает данное подключение и в какую таблицу Log Analytics сохраняются полученные данные.
   4. Выберите Добавить подключение.

   

Известные проблемы и устранение неполадок

Известные проблемы

• Журналы разных типов могут храниться в одном бакете S3, но их не следует хранить по одному и тому же пути.

• Каждая очередь SQS должна указывать на один тип сообщения. Если вы хотите загружать обнаружения GuardDuty и журналы потоков VPC, настройте отдельные очереди для каждого типа.

• Одна очередь SQS может обслуживать только один путь в контейнере S3. Если журналы хранятся в нескольких путях, для каждого пути требуется собственная выделенная очередь SQS.

Устранение неполадок

Для шагов по устранению неполадок смотрите раздел Устранение проблем с разъёмом Amazon Web Services S3.

Вкладка CloudTrail connector (legacy) объясняет, как настроить разъём AWS CloudTrail. Процесс его настройки состоит из двух частей: на стороне AWS и на стороне Microsoft Sentinel. Процесс каждой стороны создает информацию, используемую другой стороной. Эта двусторонняя проверка подлинности обеспечивает безопасное взаимодействие.

Предварительные условия

• Необходимо иметь разрешение на запись в рабочей области Microsoft Sentinel.
• Установите решение Amazon Web Services из Центра содержимого в Microsoft Sentinel. Дополнительные сведения см. в статье Поиск и управление готовым содержимым Microsoft Sentinel.

Подключение AWS CloudTrail

Настройка этого соединителя состоит из двух этапов:

• Создание принятой роли AWS и предоставление доступа к учетной записи AWS Sentinel
• Добавление сведений о роли AWS в соединитель данных AWS CloudTrail

Создание принятой роли AWS и предоставление доступа к учетной записи AWS Sentinel

1. В Microsoft Sentinel выберите Соединители данных в меню навигации.

2. Выберите Amazon Web Services в коллекции соединителей данных.

   Если вы не видите разъём, проверьте, установили ли вы решение Amazon Web Services, как описано в Предварительных требованиях.

3. В области сведений для соединителя выберите Открыть страницу соединителя.

4. В разделе Конфигурация скопируйте идентификатор учетной записи Майкрософт и Внешняя идентификация (идентификатор рабочей области) в буфер обмена.

5. В другом окне или вкладке браузера откройте консоль AWS. Следуйте инструкциям в документации AWS по созданию роли для учетной записи AWS.

   • Для типа учетной записи вместо этой учетной записи выберите Другая учетная запись AWS.

   • В поле Идентификатор учетной записи введите номер 197857026523 (или вставьте его — идентификатор учетной записи Майкрософт, скопированный на предыдущем шаге) из буфера обмена. Это идентификатор учетной записи службы Microsoft Sentinel для AWS. Это сообщает AWS, что учетная запись, использующая эту роль, является пользователем Microsoft Sentinel.

   • В параметрах выберите Требовать внешний идентификатор (не выбирайтеТребовать многофакторную проверку подлинности). В поле Внешняя идентификация вставьте идентификатор рабочей области Microsoft Sentinel, скопированный на предыдущем шаге. Это определяет вашу учетную запись Microsoft Sentinel в AWS.

   • Назначьте политику разрешений AWSCloudTrailReadOnlyAccess. При необходимости добавьте тег.

   • Назовите роль понятным именем, включающим упоминание Microsoft Sentinel. Пример: "MicrosoftSentinelRole".

Добавление сведений о роли AWS в соединитель данных AWS CloudTrail

1. На вкладке браузера, открытой в консоли AWS, введите службу Управления удостоверениями и доступом (IAM) и перейдите к списку Ролей. Выберите созданную ранее роль.

2. Скопируйте ARN в буфер обмена.

3. Вернитесь на вкладку браузера Microsoft Sentinel, которая должна быть открыта на странице соединителя данных Amazon Web Services. В разделе Конфигурация вставьте ARN роли в поле Роль для добавления и выберите Добавить.

   

4. Чтобы использовать соответствующую схему в Log Analytics для событий AWS, выполните поиск по запросу AWSCloudTrail.

   Важно!

   С 1 декабря 2020 г. поле AwsRequestId было заменено полем AwsRequestId_ (обратите внимание на добавленный символ подчеркивания). Данные в старом поле AwsRequestId будут сохраняться до окончания указанного клиентом срока хранения данных.